VPC router cannot run IKE with AES-GCM: libstrongswan-standard-plugins is not installed
維護者通常 1 天內回覆
還沒有人認領這個 Issue。
評估
- 難度
- 2/5
- 預估耗時
- 1-3 小時
- 新手友好度
- 77/100
- Issue 類型
- 缺陷
- 描述清晰度
- 描述清楚
- 活躍度
- 活躍
- 技術堆疊
- java, linux
研究方向
從 tools/appliance/systemvmtemplate/scripts/install_systemvm_packages.sh 開始，檢查第 78 行附近的套件清單。確認哪個套件提供缺少的 strongSwan AES-GCM 外掛程式，然後將它加入清單。重新建置系統 VM 範本，並驗證 charon 是否協商了所回報的 IKEv2 AES-GCM 原則。
由索引模型根據 Issue 內容生成。
描述
problem
The system VM template build script tools/appliance/systemvmtemplate/scripts/install_systemvm_packages.sh (line 78 on main) installs "strongswan libcharon-extra-plugins libstrongswan-extra-plugins strongswan-charon strongswan-starter" with --no-install-recommends. That leaves out libstrongswan-standard-plugins, which holds the gcm, openssl and aesni plugins. charon on the router then has no AES-GCM for IKE.
With an IKE policy such as aes256gcm16-sha256;modp2048 and IKEv2, charon logs:
ENCRYPTION_ALGORITHM AES_GCM_16 (key size 256) not supported!
key derivation failed
ESP with AES-GCM works, because the kernel does ESP.
versions
CloudStack 4.22.0.0, 4.23.0.0 and main. System VM template 4.22.0 (strongSwan 5.9.8, Debian 12). KVM.
The steps to reproduce the bug
- Allow GCM in NetUtils.isValidS2SVpnPolicy (the stock API refuses GCM ciphers), or use a build that allows it.
- Create a site-to-site VPN customer gateway with ikeversion=ikev2, ikepolicy=aes256gcm16-sha256;modp2048, esppolicy=aes256gcm16;modp2048.
- Create the VPN connection and reset it.
- Read /var/log/daemon.log on the VPC router.
What to do about it?
Add libstrongswan-standard-plugins to the package list in install_systemvm_packages.sh. We run a template with this package added (strongSwan 5.9.8-5+deb12u5) in production. charon then selects IKE:AES_GCM_16_256/PRF_HMAC_SHA2_256/MODP_2048 and ESP:AES_GCM_16_256, with no other change.
- 主要語言
- Java
- 星號
- 3.1k
- 分支
- 1.4k
- 平均合併
- 9 天 23 小時
- 30 天內合併 PR
- 19
環境準備
- 沒有 Dockerfile 或 Docker Compose 檔案
- 有 Pull Request 範本
- 閱讀貢獻指南
從這裡開始
- 先讀完整個 Issue，再讀專案的貢獻指南。
- 在 Issue 下留言說明你要接手 —— 這能避免兩個人做同樣的事。
- Fork 儲存庫，在一個分支上完成修改。
- 送出 Pull Request，並在描述裡引用這個 Issue 編號。
apache/cloudstack 的其他 Issue
-
Remote access VPN users are disconnected on every LB, ACL, port forward or firewall change (xl2tpd restarted on every iptables pass)可能已有人在做 關聯的 PR 仍在進行中或已合併。 未關閉
難度 2/5 1-3 小時 新手友好度 72/100
apache/cloudstack#14545 · 1 則留言 ·
維護者通常 1 天內回覆
-
難度 2/5 1-3 小時 新手友好度 72/100
apache/cloudstack#14530 · 1 則留言 ·
維護者通常 1 天內回覆
-
bug status:has-work-around
難度 2/5 1-3 小時 新手友好度 78/100
apache/cloudstack#14465 · 1 則留言 ·
維護者通常 1 天內回覆
-
4.23.0.0: restartVPC cleanup=true with public IPs on two VLANs fails with UnsupportedOperationException and leaves the VPC without a backup router可能已有人在做 @bernardodemarco 於 6 天前認領。 未關閉bug
難度 2/5 1-3 小時 新手友好度 78/100
apache/cloudstack#14430 · 4 則留言 · 已指派 1 人 ·
維護者通常 1 天內回覆
-
[UI] "canceled - Unable to reach the management server" notification when switching from project to default view on Instances page (4.20.3)可能已有人在做 @Damans227 於 21 天前認領。 未關閉bug
難度 2/5 1-3 小時 新手友好度 65/100
apache/cloudstack#14381 · 1 則留言 · 1 個 reaction · 已指派 1 人 ·
維護者通常 1 天內回覆
查看 apache/cloudstack 的全部 Issue
相似的 Issue
-
難度 2/5 1-3 小時 新手友好度 72/100
wildfly/wildfly-channel#446 ·
-
難度 2/5 1-3 小時 新手友好度 62/100
維護者通常 1 天內回覆
-
5.0.x backport enhancement
難度 2/5 1-3 小時 新手友好度 63/100
spring-cloud/spring-cloud-function#1507 ·
維護者通常 1 天內回覆
-
難度 2/5 1-3 小時 新手友好度 65/100
open-learning-exchange/myplanet#18484 ·
維護者通常 1 天內回覆
-
ELProcessor.defineFunction() fails for valid method signatures可能已有人在做 @RaphaelFakhri 今天認領。 未關閉
難度 2/5 1-3 小時 新手友好度 68/100
jakartaee/expression-language#492 ·